Lettre au Directeur Général
Monsieur le Directeur général,
Lors du CSE Île-de-France du 30 juillet 2026, nous avons appris qu’une revendication de fuite de données était annoncée chez notre ancien prestataire Akaolife via son outil FilDirect, avec 14,4 millions d’enregistrements, représentant plus de 21 Go de données.
Cette fuite concernerait les données personnelles des agentes et agents de France travail.
La fuite de données concerne :
- 966 816 dossiers RH contenant notamment identité, adresse, carrière, affectation, grade et numéro de sécurité sociale (NIR).
- 26 684 mots de passe stockés en clair associés à des comptes @pole-emploi.fr ou @francetravail.fr.
- 1 003 047 candidatures de mobilité interne, comprenant parfois des informations relatives au handicap.
- 38 138 dossiers de médecine du travail couvrant la période 1991 à 2026.
- 3 747 dossiers liés au handicap.
- Plusieurs millions d’enregistrements complémentaires issus des outils de gestion documentaire, d’analytique RH, de gestion commerciale et d’administration.
La direction régionale d’Île-de-France a indiqué que la CNIL avait été notifiée et les liens contractuels avec le prestataire rompus. À ce jour, les agent∙es n’ont toujours pas été informé∙es par leur employeur.
La responsabilité de cette fuite de données personnelles et la garantie de leur sécurité incombe à la direction générale de France travail. L’article 34 du règlement (UE) 2016/679 impose au responsable du traitement des données, lorsqu’une violation est susceptible d’engendrer un risque élevé, de communiquer cette violation à la personne concernée, dans les meilleurs délais.
Elle n’est éteinte ni par la notification à la CNIL, qui relève de l’article 33 et poursuit un autre objet, ni par une information aux élu∙es du personnel.
Où étaient nos données le 24 juin 2026 ?
L’histoire capitalistique du prestataire est publique et documentée au registre. Le 7 janvier 2026, le groupe Sage a annoncé l’acquisition d’Akao. Le fonds de commerce d’A.K.A.O. Informatique a été démembré par deux cessions publiées au BODACC A n° 20260016 du 25 janvier 2026, au profit de deux sociétés du même groupe, dont l’une avait été créée le 14 novembre 2025.
La société historique a fait l’objet d’une transmission universelle de patrimoine publiée au BODACC B n° 20260045 du 6 mars 2026, puis a été radiée du registre du commerce le 16 avril 2026.
Pourquoi ces données existaient-elles encore ?
FilDirect a cessé d’être utilisé le 26 juin 2024.
L’article 28, paragraphe 3, point g) du règlement impose au sous-traitant, au terme de la prestation, de supprimer ou restituer les données et de détruire les copies existantes et l’article 5, paragraphe 1, point e) interdit de conserver au-delà du nécessaire
Par conséquent la FSU Emploi vous demande :
- D’informer chaque personne concernée avec un message dédié et de manière que les absent∙es et les personnes ayant quitté l’établissement soient informées.
- Diffuser sans attendre et distinctement, une alerte préventive à l’ensemble des personnels de France travail.
- Que ce point soit mis à l’ordre du jour du CSEC du 26 août avec un point complet sur les origines et l’avancée de la situation et qu’il en soit fait de même auprès de tous les CSE.
- L’attestation de suppression ou de restitution, sauvegardes comprises, ou l’explication de son absence.
- De nommer l’entité juridique qui détenait nos données au 24 juin 2026, par quel acte elles y sont arrivées, quel était le cocontractant de France Travail à chaque étape et avec quelle entité les liens contractuels ont été rompus.
